Yeni bir kurtçuk (worm) NIMDA (Yüksek Risk)

----------=[ Etkilenen Sistemler ]=----------
Microsoft Windows 95, 98, ME, NT, and 2000

----------=[ Açıklama ]=----------
CERT/CC 'W32/Nimda worm' veya 'Concept Virus (CV) v.5.' olarak bilinen yeni bir kötü amaçlı kod hakkında raporlar almaya başladı. Bu truva kurtçuğu yayılmak için çeşitli metodlar kullanıyor:
* eposta ile istemciden istemciye
* açık ağ paylaşımları ile istemciden istemciye
* etkilenmiş web sitelerini görüntüleme ile web sunucudan istemciye
* 'Microsoft IIS 4.0 / 5.0 directory traversal' güvenlik açığı tarayıp kullanarak istemciden web sunucuya
* Code Red II veya sadmind/IIS kurtçukları tarafından bırakılan arka kapıları tarayarak istemciden web sunucuya ilk analizlere göre kurtçuğun web içeriğini değiştirip kendi yayılmasını gerçekleştirmek dışında bir zarar verici özelliği yok. CERT/CC ayrıca ağ tarama ve eposta yayılma işlemleri sonucunda oluşan DoS (denial of service) tehditi ile ilgilide raporlar aldı.
Nimda kurtçuğu hem Windows 95, 98, ME, NT, veya 2000 çalıştıran kullanıcı işistasyonlari (istemciler) için hemde Windows NT ve 2000 çalıştıran sunucular için bir tehdit oluşturuyor.

Eposta ile yayılma
Bu kurtçuk iki bölümden oluşan bir MIME 'multipart/alternative' mesaj ile eposta yoluyla yayılıyor. ilk bölüm MIME tipi 'text/html' olarak tanımlanmış fakat text içermiyor ve bu sebeple epostanın içeriği yok gibi görünüyor. ikinci bölüm MIME tipi 'audio/x-wav' olarak tanımlanmış fakat 'readme.exe' isminde base64-encoded çalıştırılabilir bir ek dosya içeriyor.
CA-2001-06.html da tanımlanan (Automatic Execution of Embedded MIME Types) güvenlik açığına göre HTML postayı görüntülemek için Microsoft Internet Explorer 5.5 SP1 veya öncesini (IE 5.01 SP2 hariç) kullanan X86 platform üzerinde çalışan her posta yazılımı ilişikteki ek dosyayı otomatik olarak çalıştırıyor ve sonuç olarak makineye solucanı bulaştırıyor. Böylece, etkilenen konfigürasyonlarda, kurtçuğun aktif olması sadece bu eposta mesajını açmakla (veya önizleme yapmakla) sağlanabiliyor. Aktif hale geçmesi çalıştırılabilir bir dosya olan ek dosyayı çalıştırmaklada mümkün.

Nimda kurtçuğunu gönderen eposta mesajının aynı zamanda aşağıdaki karakteristiklere sahip olduğu gözlemlendi:
Mesajın konu başlığındaki yazı bir değişken gibi görünüyor fakat şimdiye kadar görülenler 80 karakterin üzerinde.
Ekteki çalıştırılabilir dosyanın çok çeşitleri olduğu görülüyor ve farklı mesajlardaki farklı ek dosyaların farklı MD5 checksum larının olmasına sebep oluyor. Fakat, ek dosyanın boyutu sabit olarak 57344 byte oluyor.

İşlevleri
Etkilenen istemci makineleri Nimda kurtçuğunun kopyalarını windows adres defterinde bulunan herkese eposta ile gönderiyor.
Aynı zamanda, istemci makineler etkilenen IIS sunucularını aramaya başlıyorlar. Nimda önceki IIS kurtçukları Code Red II ve sadmind/IIS tarafından bırakılan arkakapıları (backdoor) arıyor. Ayrıca IIS dizin atlama/geçme (directory traversal) açığını deniyor. Potansiyel hedef IP adresleri aşağıdaki tahmine göre seçiliyor:
zamanın %50 si, ilk iki octet`i aynı olan adresler
zamanın %25`i, ilk octet`i aynı olan adresler
zamanın %25`i rastgele bir adres seçiliyor.

Etkilenen istemci makine tarayıp bulduğu etkilenen sunucuya Nimda kodunun bir kopyasını transfer ediyor. Sunucu makinede çalıştığında solucan sistemdeki (dosya paylaşımları ile erişilebilenler dahil) tüm dizinleri geçiyor ve kendisinin bir kopyasını diske 'README.EML' ismi ile kaydediyor. Web içerikli bir dizin (ör. HTML veya ASP dosyaları) bulduğunda, söz konusu dosyaların hepsine aşağıdaki Javascript kodunu ekliyor:

<script language='JavaScript'>
window.open('readme.eml', null, 'resizable=no,top=6000,left=6000')</script>